XSS stockée dans Download Manager - developpeur-full-stack.fr

Veille sécuritéCMS & e-commerce

P3Élevée

Download Manager présente une XSS stockée dans les champs d’inscription, dans les versions jusqu’à 7.5.9 incluse. Le scénario décrit exige que l’inscription publique soit activée, que le formulaire du plugin soit publié et qu’un paquet rédigé par l’utilisateur d’identifiant 1 soit rendu avec le modèle Spotlight; NVD indique une gravité élevée (CVSS 7.2).

IdentifiantCVE-2026-119156

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-119156

Analyse technique

Les paramètres concernés sont `wpdm_reg[first_name]`, `wpdm_reg[last_name]` et `wpdm_reg[user_login]`; l’entrée est insuffisamment assainie et la sortie insuffisamment échappée.

Impact, versions et correctif

Événement datéRetenue comme nouvelle vulnérabilité publiée par NVD le 2026-11-07, date comprise dans la période demandée.

ImpactUn attaquant non authentifié peut injecter des scripts stockés dans les conditions de configuration décrites.

Versions affectéesToutes les versions jusqu’à 7.5.9 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

Publication2026-11-07T13:16:34.510Z

Mise à jour2026-11-07T18:17:14.450Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible; en attendant, désactiver l’inscription publique ou retirer le formulaire et le rendu concernés.

Sources

NVD — CVE-2026-119156

Priorisation DFS : P3 · 1 source(s).